Configuración y verificación de las ACL estándar

Transcripción

1 Configuración y verificación de las ACL estándar Objetivos Implementar la topología en GNS3 utilizando maquinas virtuales Configurar las ACL estándar para limitar el tráfico. Verificar el funcionamiento de ACL. Paso 1: Realizar la configuración básica del Router R1 a. Ingrese a la consola del router para realizar configuraciones. b. En el Router R1, configure el nombre de host, las interfaces, las contraseñas, y deshabilite las búsquedas por DNS, segúnel direccionamiento de la topología. Guarde la configuración. paso 2: Realizar la configuración básica del Router 2 Realice la configuración básica en el Router R2 y guarde la configuración. Paso 3: Configurar el host con la dirección IP, máscara de subred y gateway predeterminado Configure el host 1 con la correspondiente dirección IP, máscara de subred y gateway predeterminado. Al host se le debe asignar la dirección /24 y el gateway predeterminado , Página 1 de 6

2 a. Las estación de trabajo deben poder hacer ping al router donde se encuentran conectados. Si el ping no tuvo éxito, resuelva el problema según sea necesario. Verifique que se hayan asignado una dirección IP y un gateway predeterminado específicos a la estación de trabajo. Paso 4: Configurar el enrutamiento EIGRP y verificar la conectividad de extremo a extremo en la red a. Habilite el protocolo de enrutamiento EIGRP en el Router R1 y configúrelo para que publique ambas redes conectadas. b. Habilite el protocolo de enrutamiento EIGRP en el Router R2 y configúrelo para que publique las tres redes conectadas. c. Haga ping desde el Host 1 a las dos host redes conectados al Router R2. Tuvieron éxito los ping desde el Host 1? Si la respuesta es no, resuelva el problema de las configuraciones del router y el host para detectar el error. Haga ping de nuevo hasta que ambos tengan éxito. Paso 5: Configurar y probar una ACL estándar En esta topología de laboratorio, las interfaces fa1/0 y fa2/0 en R2 son dos redes clase C conectadas al router. Las ACL se utilizarán para controlar el acceso a estas subredes. La interfaz fa1/0 representa una red de estaciones de trabajo de ventas y la interfaz fa2/0 representa una red de ingeniería de acceso limitado. En esta red, es necesario tener al menos una estación de trabajo de administración en la subred /24 junto con otras estaciones de trabajo del usuario. A la estación de trabajo de administración se le asigna una dirección IP estática Las estaciones de trabajo del usuario consumen el resto de las direcciones IP de la red. Tarea : Crear una ACL para permitir el acceso de la estación de trabajo de administración a las redes conectadas a R2, pero no permitir el acceso a estas redes desde los otros hosts de la red NOTA: Recuerde el deny implícito se agrega automáticamente pero es recomendable colocarlo para tener un control de los bloqueos. Muestra el resultado del comando show access-lists la ACL que se creó? show access-lists Standard IP access list 1 10 permit permit , wildcard bits (69 matches) 30 deny any Muestra el resultado del comando show access-lists la ACL que se aplica?. Página 2 de 6

3 Utilice el comando show ip interface s0/0 para mostrar la aplicación de la ACL. Qué indica el resultado del comando show ip interface acerca de la ACL? show ip int s1/0 Serial1/0 is up, line protocol is up Internet address is /24 Broadcast address is Address determined by setup command MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Multicast reserved groups joined: Outgoing access list is not set Inbound access list is 1 Proxy ARP is enabled Local Proxy ARP is disabled Security level is default Split horizon is enabled ICMP redirects are always sent ICMP unreachables are always sent ICMP mask replies are never sent IP fast switching is enabled IP fast switching on the same interface is enabled IP Flow switching is disabled IP CEF switching is enabled IP CEF Feature Fast switching turbo vector IP multicast fast switching is enabled IP multicast distributed fast switching is disabled IP route-cache flags are Fast, CEF Router Discovery is disabled IP output packet accounting is disabled IP access violation accounting is disabled TCP/IP header compression is disabled RTP/IP header compression is disabled Policy routing is disabled Network address translation is disabled. Página 3 de 6

4 BGP Policy Mapping is disabled WCCP Redirect outbound is disabled WCCP Redirect inbound is disabled WCCP Redirect exclude is disabled Paso 6: Probar la ACL a. Haga ping a la dirección IP desde el Host de Administración. Fue exitoso el ping? SI b. Haga ping a la dirección IP desde el Host 1. Fue exitoso el ping? SI c. Pegar el resultado del comando show access-list nuevamente. show access-lists Standard IP access list 1 10 permit (24 matches) 20 permit , wildcard bits (186 matches) 30 deny any Cuántas coincidencias hay para la primera sentencia ACL (permit)? Cuántas coincidencias hay para la segunda sentencia ACL (deny)?. Página 4 de 6

5 d. Pegar la tabla de enrutamiento en R2 mediante el comando show ip route c. show ip route d. Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP e. D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area f. N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 g. E1 - OSPF external type 1, E2 - OSPF external type 2 h. i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level- 2 i. ia - IS-IS inter area, * - candidate default, U - per-user static route j. o - ODR, P - periodic downloaded static route k. l. Gateway of last resort is not set m. n. D /24 [90/ ] via , 00:56:25, Serial1/0 o. C /24 is directly connected, FastEthernet0/0 p. C /24 is directly connected, FastEthernet0/1 q. C /24 is directly connected, Serial1/0 Qué ruta no aparece en la tabla de enrutamiento? La ruta no aparece en la tabla de enrutamiento, ya que la ACL sólo permite los paquetes desde Los paquetes de actualización EIGRP desde R1 se obtienen de la interfaz serial 0/0 del router y la ACL los rechaza. Debido a que la ACL bloquea las actualizaciones EIGRP de R1 que publican la red , R2 no tiene conocimiento sobre la red La ACL no bloqueó los pings que se hicieron antes. Fallaron porque R2 no pudo devolver la respuesta de eco. R2 no sabía cómo llegar a la red Para solucionar este problema deberá agregar otra ACL que permita la publicación de los paquetes con la información de EIGRP (pegar aquí los comandos de la nueva ACL). Página 5 de 6

6 e. Vuelva a crear la ACL en R2 para permitir que se reciban las actualizaciones de enrutamiento desde R1. f. Haga ping en y desde el Host 1. Son exitosos los pings ahora? g. Cambie la dirección IP del Host 1 Administración a h. Haga ping nuevamente en y desde el Host 1. Son exitosos los pings? Pegar la pantalla con el resultado.. Muestre la ACL nuevamente mediante el comando show access-lists. Hay coincidencias para la sentencia ACL ? Paso 7: Reflexión NOTA: Puede borrar los contadores ACL mediante el comando clear ip access-list counters desde la petición de entrada del EXEC privilegiado. a. Por qué se requieren una planificación y una prueba más detalladas de las listas de control de acceso? b. Cuál es la limitación principal de las ACL estándar?. Página 6 de 6